如何通过EC类型JWK设置签名密钥，使用JJWT验证JWT？

现有一段用于验证和解析JWT令牌的代码：

public static Claims decodeJWT(String "jwt") {
    //This line will throw an exception if it is not a signed JWS (as expected)
    Claims claims = Jwts.parser()
        .setSigningKey(DatatypeConverter.parseBase64Binary(SECRET_KEY))
        .parseClaimsJws(jwt).getBody();
    return claims;
}

同时定义了JWK的数据传输对象类：

public class MyJwkDto {
    String kty;
    String crv;
    String kid;
    String x;
    String y;
}

示例为EC类型的JWK：

{
    "kty": "EC",
    "crv": "P-256",
    "kid": "UD9Jr8TKPk3MI_RQg2LX3UFwaV4U3nhIzUO_pU78q4M",
    "x": "lKgBPjCtzRiYOC1Oyi_3qi6Ux7Wcxaem35nx9IgEqRY",
    "y": "fNghfAOzpsSudHo6tq1JB3FdKkdQnH_tLj2tajc8ZUM"
}

请问应使用JWK中的哪些内容替换代码中的SECRET_KEY以完成JWT验证？

这是EC（椭圆曲线）类型的公钥JWK，和你原代码中使用的对称密钥（HMAC验证）逻辑不同，不能直接用某个JWK字段转成字符串替换SECRET_KEY，需要用JWK里的以下参数构建EC公钥对象，再用于JWT签名验证：

• crv：椭圆曲线类型（比如示例中的P-256，对应secp256r1曲线）
• x：椭圆曲线公钥的x坐标（Base64URL编码）
• y：椭圆曲线公钥的y坐标（Base64URL编码）

修改后的代码示例 #

import java.security.KeyFactory;
import java.security.spec.ECParameterSpec;
import java.security.spec.ECPoint;
import java.security.spec.ECPublicKeySpec;
import java.security.interfaces.ECPublicKey;
import java.util.Base64;

public static Claims decodeJWT(String jwt, MyJwkDto jwk) throws Exception {
    // 解码x、y坐标的Base64URL编码
    byte[] xBytes = Base64.getUrlDecoder().decode(jwk.x);
    byte[] yBytes = Base64.getUrlDecoder().decode(jwk.y);
    
    // 根据crv获取对应椭圆曲线的参数规范
    ECParameterSpec ecSpec = getECParameterSpec(jwk.crv);
    
    // 构建EC公钥的参数规范
    ECPoint ecPoint = new ECPoint(
        new java.math.BigInteger(1, xBytes), 
        new java.math.BigInteger(1, yBytes)
    );
    ECPublicKeySpec publicKeySpec = new ECPublicKeySpec(ecPoint, ecSpec);
    
    // 生成EC公钥对象
    KeyFactory keyFactory = KeyFactory.getInstance("EC");
    ECPublicKey publicKey = (ECPublicKey) keyFactory.generatePublic(publicKeySpec);
    
    // 使用EC公钥验证JWT签名并解析Claims
    Claims claims = Jwts.parser()
        .setSigningKey(publicKey)
        .parseClaimsJws(jwt).getBody();
    return claims;
}

// 根据crv值匹配对应的椭圆曲线参数
private static ECParameterSpec getECParameterSpec(String crv) throws Exception {
    return switch (crv) {
        case "P-256" -> java.security.spec.ECGenParameterSpec("secp256r1");
        case "P-384" -> java.security.spec.ECGenParameterSpec("secp384r1");
        case "P-521" -> java.security.spec.ECGenParameterSpec("secp521r1");
        default -> throw new IllegalArgumentException("不支持的椭圆曲线类型: " + crv);
    };
}

补充说明 #

• kid是密钥ID，仅用于在多密钥场景下标识当前使用的密钥，不是签名验证的必需参数；
• 原代码的DatatypeConverter.parseBase64Binary是处理对称密钥的逻辑，不适用于EC公钥，需要替换为构建公钥对象的流程；
• 确保你的JWT使用的签名算法是EC系列（比如ES256、ES384），否则会验证失败。

内容的提问来源于stack exchange，提问作者Julian